Fortinet ZTNA: truy cập ứng dụng Zero Trust an toàn, thay thế VPN

Fortinet Universal ZTNA là giải pháp truy cập mạng Zero Trust (ZTNA – Zero Trust Network Access, truy cập theo nguyên tắc “không tin mặc định, luôn kiểm tra”) của Fortinet: mỗi phiên truy cập vào một ứng dụng cụ thể chỉ được cấp khi danh tính người dùng và tình trạng an toàn của thiết bị đạt chính sách, và các điều kiện này được đánh giá lại liên tục trong suốt phiên. Điểm khác biệt là cổng ZTNA (ZTNA Application Gateway) là tính năng có sẵn trong hệ điều hành FortiOS của tường lửa FortiGate, còn FortiClient đóng vai trò agent trên máy người dùng – doanh nghiệp đã dùng Fortinet có thể bật ZTNA trên hạ tầng hiện có.

Với doanh nghiệp Việt Nam, bài toán quen thuộc là nhân viên làm việc ở văn phòng, ở nhà, ở công trường hay chi nhánh, trong khi ứng dụng nằm rải rác ở phòng máy chủ, private cloud, public cloud và SaaS. VPN truyền thống mở cả một đoạn mạng cho người dùng, khó kiểm soát ai được vào đâu và dễ bị lợi dụng khi một máy tính bị nhiễm mã độc. Bài viết này giải thích cách Fortinet ZTNA hoạt động, các thành phần cần có, cách cấp phép, lộ trình chuyển từ VPN và cách VIET NET đồng hành triển khai.

Vì sao doanh nghiệp cần chuyển từ VPN sang ZTNA

Mô hình làm việc kết hợp (hybrid) và việc đưa ứng dụng lên cloud đã làm bề mặt tấn công mở rộng đáng kể. Theo hướng dẫn mua ZTNA của Fortinet, VPN được thiết kế để cấp quyền truy cập ở mức mạng – thường rộng hơn nhiều so với nhu cầu thực tế của một người dùng chỉ cần vài ứng dụng. Khi thiết bị đầu cuối bị xâm nhập, quyền truy cập rộng này tạo điều kiện cho mã độc và kẻ tấn công di chuyển ngang (lateral movement) sang các hệ thống khác trong mạng nội bộ.

VPN cũng thường được tập trung về một điểm, khiến lưu lượng của người làm việc từ xa phải vòng về trụ sở rồi mới ra ứng dụng, gây trễ và quá tải bộ tập trung VPN – tình trạng nhiều doanh nghiệp đã gặp trong giai đoạn làm việc từ xa diện rộng. Bên cạnh đó là “shadow IT”: nhân viên tự dùng ứng dụng SaaS chưa được phê duyệt, khiến bộ phận CNTT không biết dữ liệu công ty đang nằm ở đâu.

Xu hướng chuyển dịch đã rõ: Fortinet dẫn khảo sát Zero-Trust Adoption 2024 của Gartner cho biết 63% tổ chức trên thế giới đã triển khai toàn bộ hoặc một phần chiến lược Zero Trust. Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST) mô tả Zero Trust là mô hình tập trung bảo vệ tài nguyên, trong đó niềm tin không bao giờ được cấp ngầm định mà phải được đánh giá liên tục.

Ba nguyên tắc Zero Trust áp dụng cho người dùng và thiết bị

• Luôn xác minh: xác thực và kiểm tra người dùng, thiết bị một cách liên tục, không chỉ một lần lúc đăng nhập.
• Cấp quyền tối thiểu: chia mạng thành các vùng nhỏ, chỉ cho phép truy cập đúng ứng dụng, dữ liệu cần cho vai trò công việc.
• Giả định đã bị xâm nhập: lên kế hoạch như thể kẻ tấn công có mặt cả bên trong lẫn bên ngoài mạng; bỏ khái niệm “vùng tin cậy”, kể cả khi người dùng đang ngồi trong văn phòng.

Universal ZTNA: một chính sách cho cả văn phòng và làm việc từ xa

ZTNA ban đầu được dùng chủ yếu cho người làm việc từ xa. Nhưng khi nhân viên quay lại văn phòng vài ngày mỗi tuần, nhiều doanh nghiệp phải duy trì hai bộ chính sách truy cập: một cho người ở xa, một cho người ở trong mạng nội bộ. Theo Fortinet, hai bộ chính sách song song làm tăng gấp đôi khối lượng quản trị và mở ra nguy cơ cấu hình sai.

Fortinet gọi cách áp dụng ZTNA cho mọi vị trí là Universal ZTNA: người dùng ở nhà, đang di chuyển, ở chi nhánh hay ngồi tại trụ sở đều được kiểm tra danh tính và thiết bị cho từng phiên truy cập ứng dụng, theo cùng một chính sách. Hướng dẫn của Fortinet lưu ý các giải pháp chỉ chạy trên cloud phải đẩy toàn bộ lưu lượng lên cloud, gây trễ khi người dùng trong văn phòng truy cập ứng dụng đặt tại chỗ. Vì cổng ZTNA nằm ngay trên FortiGate, điểm thực thi chính sách có thể đặt tại trụ sở, chi nhánh, data center hay cloud – lưu lượng nội bộ không phải đi vòng.

Fortinet ZTNA hoạt động như thế nào

Các thành phần chính

• ZTNA Application Gateway (cổng ứng dụng ZTNA): điểm kết thúc đường hầm mã hoá và thực thi chính sách cho từng phiên. Cổng này là tính năng của FortiOS, có trên mọi FortiGate chạy FortiOS 7.0 trở lên, đồng thời có trong FortiWeb, FortiADC, FortiProxy, FortiPAM và dạng máy ảo độc lập trên marketplace của Azure và AWS.
• FortiClient (ZTNA agent): cài trên máy người dùng, tự tạo đường hầm mã hoá tới cổng ZTNA, đánh giá tình trạng thiết bị (posture) và hỗ trợ đăng nhập một lần (SSO). FortiClient là agent hợp nhất, có cả VPN, nên việc chuyển từ VPN sang ZTNA không cần cài thêm phần mềm.
• FortiClient EMS (Enterprise Management Server): máy chủ quản lý cấu hình agent và điều phối toàn bộ giải pháp. EMS đi kèm mọi phiên bản FortiClient có bản quyền, có thể dùng dạng cloud (SaaS) hoặc cài tại chỗ.
• Quản lý danh tính (tuỳ chọn): FortiAuthenticator cung cấp dịch vụ xác thực tập trung và SSO; FortiToken bổ sung yếu tố xác thực thứ hai (MFA). Giải pháp cũng làm việc với các nguồn xác thực bên thứ ba được Security Fabric hỗ trợ, ví dụ dịch vụ định danh qua SAML 2.0.

Luồng truy cập một ứng dụng

1. Người dùng mở ứng dụng nội bộ (web, SSH…). FortiClient tự khởi tạo đường hầm mã hoá tới cổng ZTNA – người dùng không phải nhớ bật VPN.
2. FortiClient gửi thông tin danh tính, chứng thư số và thẻ tình trạng thiết bị (phiên bản hệ điều hành, trạng thái chống virus, kết quả quét lỗ hổng) do EMS đồng bộ sang FortiGate.
3. FortiGate đối chiếu chính sách: người dùng thuộc nhóm nào, thiết bị có đạt yêu cầu không, có cần MFA không. Chỉ khi đạt, phiên truy cập tới đúng ứng dụng đó mới được mở.
4. Trong suốt phiên, EMS tiếp tục đánh giá thiết bị. Nếu tình trạng thay đổi (ví dụ tắt phần mềm bảo vệ), quyền truy cập được điều chỉnh theo chính sách.

Vì người dùng chỉ kết nối tới cổng ZTNA, còn cổng mới kết nối tới ứng dụng, ứng dụng có thể nằm tại chỗ, trên private cloud hay public cloud mà vẫn ẩn khỏi Internet: máy chủ chỉ cần chấp nhận kết nối từ cổng ZTNA. Đường hầm được tạo giống nhau dù người dùng ở trong hay ngoài mạng, nên kết nối nội bộ cũng được mã hoá và kiểm tra.

Từ ZTNA đến Zero Trust Access toàn diện

ZTNA giải quyết bài toán truy cập ứng dụng. Trong khung Zero Trust Access (ZTA) của Fortinet, đây là một trụ cột bên cạnh việc biết rõ ai và thiết bị nào đang có mặt trên mạng:

• Biết ai đang trên mạng: danh tính là nền tảng của chính sách. Người dùng là nhân viên, khách, nhà thầu hay đối tác sẽ nhận quyền khác nhau theo vai trò. Danh tính được xác lập qua đăng nhập, chứng thư số và MFA; FortiAuthenticator, Fortinet Single Sign-On, cổng khách (guest portal), RADIUS accounting hay syslog cung cấp thông tin cho chính sách theo vai trò.
• Biết thiết bị nào đang trên mạng: FortiNAC nhận diện, phân loại và quét lỗ hổng thiết bị – từ máy in, camera đến thiết bị IoT, OT – với 20 phương pháp nhận dạng, hỗ trợ hơn 2.800 loại thiết bị hạ tầng mạng và không phụ thuộc 802.1X. Ví dụ Fortinet đưa ra: khi một laptop nhiễm mã độc được cắm vào mạng, FortiGate báo sự kiện cho FortiNAC và laptop bị cách ly ngay tại cổng switch.

Tính năng chính của Fortinet Universal ZTNA

Kiểm soát truy cập chi tiết theo ứng dụng

• Phân đoạn vi mô theo ứng dụng: người dùng chỉ thấy và vào được ứng dụng được phép, không còn quyền truy cập rộng cả đoạn mạng như VPN.
• Kiểm tra danh tính và tình trạng thiết bị cho từng phiên, giám sát và đánh giá lại liên tục.
• SSO và SAML ở cả agent lẫn cổng ZTNA, giảm số lần đăng nhập cho người dùng.
• Chuyển tiếp TCP/UDP: ngoài web HTTPS, cổng ZTNA hỗ trợ các giao thức như SSH, Telnet cho nhu cầu quản trị hệ thống.
• Cân bằng tải máy chủ được tăng tốc phần cứng trên FortiGate.

Bảo vệ dữ liệu và ứng dụng SaaS

• CASB (Cloud Access Security Broker – kiểm soát truy cập ứng dụng cloud): giấy phép FortiClient ZTNA đã bao gồm FortiCASB dạng API; tài khoản được kích hoạt tự động khi đăng ký hợp đồng bản quyền trên FortiCare. CASB inline cho phép kiểm soát ứng dụng SaaS theo thời gian thực.
• Kiểm tra chống rò rỉ dữ liệu (DLP) trên lưu lượng đi qua cổng ZTNA.
• Kiểm tra lưu lượng inline: khác với VPN, giao tiếp giữa người dùng và ứng dụng đi qua FortiGate nên có thể được kiểm tra mã độc, IPS và các lớp bảo vệ khác của tường lửa.

Vệ sinh CNTT và bảo vệ thiết bị đầu cuối

Tuỳ gói, FortiClient bổ sung quản lý lỗ hổng, kiểm kê phần mềm, kiểm soát thiết bị lưu trữ di động, lọc web, sandbox trên cloud, chống ransomware và chống mã độc. Nhờ một agent dùng chung cho VPN, ZTNA và bảo vệ thiết bị, doanh nghiệp tránh phải cài nhiều agent của nhiều nhà cung cấp – điều mà hướng dẫn của Fortinet xem là yếu tố giảm cả rủi ro lẫn chi phí vận hành. Nếu cần năng lực phát hiện và phản ứng sâu hơn trên máy trạm, máy chủ, xem thêm bài FortiEndpoint, FortiEDR và FortiXDR.

Lợi ích cho doanh nghiệp

• Thu hẹp bề mặt tấn công: ứng dụng ẩn khỏi Internet, quyền truy cập theo nguyên tắc tối thiểu, hạn chế mã độc và ransomware lan ngang.
• Trải nghiệm người dùng tốt hơn: đường hầm tự bật khi mở ứng dụng, cùng một cách dùng ở trong và ngoài văn phòng, kết nối trực tiếp hơn thay vì vòng qua bộ tập trung VPN.
• Tận dụng đầu tư sẵn có: theo Fortinet, khách hàng đang dùng FortiGate và FortiClient có thể dùng ZTNA ngay khi cập nhật lên FortiOS 7.0 trở lên, không cần giấy phép ZTNA riêng cho FortiGate. ZTNA cũng chạy cùng các tính năng SD-WAN, SD-Branch trên cùng thiết bị.
• Một chính sách cho mọi nơi: giảm sai sót do duy trì hai bộ quy tắc cho người dùng nội bộ và từ xa.
• Chuyển đổi chi phí thấp, linh hoạt: ZTNA chạy song song với VPN trong giai đoạn chuyển tiếp, không cần thay thế hàng loạt phần cứng; ứng dụng có thể chuyển lên cloud hay về lại data center mà người dùng không bị ảnh hưởng.

Bảng tóm tắt thành phần và lựa chọn

Nhu cầu	Thành phần / gói	Ghi chú từ tài liệu Fortinet
Cổng thực thi ZTNA tại trụ sở, chi nhánh	FortiGate chạy FortiOS 7.0 trở lên	Không cần giấy phép ZTNA riêng trên FortiGate
Cổng ZTNA trên public cloud	ZTNA Application Gateway dạng VM	Có trên marketplace Azure và AWS
Truy cập từ xa an toàn, thay VPN	FortiClient ZTNA/VPN	Kèm FortiCASB dạng API, MFA, quét lỗ hổng
ZTNA kết hợp bảo vệ thiết bị đầu cuối	FortiClient EPP/ATP	Đã gồm quyền ZTNA, thêm sandbox, chống ransomware
Thuê vận hành agent	Managed FortiClient	Gồm EPP, APT, VPN, Zero Trust, forensics
Xác thực mạnh, SSO	FortiAuthenticator, FortiToken	Tuỳ chọn, hoặc dùng nguồn định danh có sẵn
Nhận diện, cách ly thiết bị trong mạng	FortiNAC	Hỗ trợ cả mạng có dây và không dây
Người dùng di động, không qua trụ sở	FortiSASE	ZTNA, SWG, FWaaS, CASB trên cloud

Giấy phép FortiClient được bán theo gói số thiết bị đầu cuối (25, 500, 2.000, 10.000), với EMS dạng cloud hoặc tại chỗ. Về hiệu năng, hướng dẫn đặt hàng của Fortinet liệt kê thông lượng SSL inspection đo trong phòng lab, ví dụ khoảng 1,4 Gbps với FortiGate 70G, 7 Gbps với 200G và 16,7 Gbps với 900G; con số thực tế phụ thuộc lưu lượng và cấu hình, nên cần khảo sát để chọn model. Danh mục model có tại trang thiết bị bảo mật Fortinet.

Lộ trình chuyển từ VPN sang ZTNA

Fortinet đưa ra hai bước chuyển cho khách hàng đang dùng FortiGate và FortiClient:

1. ZTNA trên nền VPN: giữ hạ tầng VPN quen thuộc, nhưng bổ sung thẻ tình trạng thiết bị vào chính sách FortiGate. Mọi truy cập ứng dụng đều phải qua kiểm tra danh tính và sức khoẻ thiết bị theo thời gian thực.
2. ZTNA đầy đủ: chuyển sang dùng cổng ZTNA Application Gateway, kiểm tra theo từng phiên và liên tục, toàn bộ giao tiếp đi qua đường hầm mã hoá tự động.

Nên bắt đầu với vài ứng dụng quan trọng như ERP, kế toán, rồi mở rộng dần. Doanh nghiệp đã có tường lửa thế hệ mới có thể tham khảo thêm bài FortiGate NGFW; nếu nhân sự chủ yếu làm việc lưu động, mô hình cloud trong bài FortiSASE có thể phù hợp hơn.

Lựa chọn và triển khai cùng VIET NET

VIET NET là nhà phân phối, tích hợp các giải pháp Fortinet, triển khai hạ tầng CNTT, ELV và data center từ năm 2003. Với dự án ZTNA, quy trình chung gồm:

1. Khảo sát: kiểm kê ứng dụng, nhóm người dùng, thiết bị (máy công ty, BYOD, máy nhà thầu), hạ tầng FortiGate, phiên bản FortiOS và nguồn định danh hiện có.
2. Thiết kế chính sách: xác định ai được truy cập ứng dụng nào, điều kiện thiết bị tối thiểu, khi nào cần MFA; chọn EMS cloud hay tại chỗ.
3. Triển khai thí điểm: cấu hình cổng ZTNA, EMS, đẩy FortiClient cho một nhóm người dùng, chạy song song với VPN.
4. Chuyển đổi dần: mở rộng theo nhóm ứng dụng, thu hẹp quyền VPN, ẩn ứng dụng khỏi Internet.
5. Đào tạo và hỗ trợ: hướng dẫn đội CNTT vận hành, đọc nhật ký, xử lý sự cố; hỗ trợ sau triển khai.

ZTNA là một phần của chiến lược bảo mật rộng hơn, được trình bày trong bài giải pháp an ninh mạng toàn diện cho doanh nghiệp. Để được tư vấn mô hình phù hợp và báo giá theo số người dùng, vui lòng liên hệ VIET NET.

Câu hỏi thường gặp

ZTNA khác VPN như thế nào?

ZTNA chỉ cấp quyền vào từng ứng dụng cụ thể sau khi kiểm tra danh tính người dùng và tình trạng thiết bị cho mỗi phiên, rồi tiếp tục đánh giá lại trong suốt phiên. VPN thường mở quyền truy cập cả một đoạn mạng sau một lần đăng nhập. Với Fortinet ZTNA, đường hầm mã hoá tự bật khi mở ứng dụng, người dùng không cần nhớ kết nối VPN và ứng dụng được ẩn khỏi Internet.

Dùng Fortinet ZTNA có phải mua thêm giấy phép cho FortiGate không?

Không. Theo hướng dẫn đặt hàng của Fortinet, chỉ cần giấy phép FortiClient có quyền ZTNA (gói ZTNA/VPN hoặc EPP), không cần giấy phép ZTNA riêng cho FortiGate làm cổng ZTNA. Mọi FortiGate chạy FortiOS 7.0 trở lên đều hỗ trợ tính năng cổng ZTNA. Liên hệ VIET NET để được báo giá theo số người dùng và thiết bị cần bảo vệ.

FortiGate cũ có dùng được ZTNA không?

Được, nếu thiết bị chạy FortiOS 7.0 trở lên, vì cổng ZTNA Application Gateway là tính năng có sẵn của FortiOS. Tuy vậy, cần kiểm tra hiệu năng SSL inspection và tải hiện tại của thiết bị trước khi chuyển nhiều ứng dụng qua ZTNA. VIET NET có thể khảo sát hạ tầng, đánh giá khả năng nâng cấp phần mềm và đề xuất model phù hợp nếu thiết bị đã quá tải.

Có thể chạy ZTNA song song với VPN trong giai đoạn chuyển đổi không?

Có. Fortinet khuyến nghị lộ trình hai bước: trước tiên bổ sung kiểm tra tình trạng thiết bị vào truy cập VPN hiện có, sau đó chuyển dần từng nhóm ứng dụng sang cổng ZTNA đầy đủ. FortiClient là agent hợp nhất có cả VPN và ZTNA, nên người dùng không phải cài thêm phần mềm và doanh nghiệp không cần thay thế hàng loạt phần cứng.

Fortinet ZTNA có hỗ trợ điện thoại iOS, Android không?

Có, với ứng dụng web. Theo Fortinet, FortiClient và EMS từ phiên bản 7.2.2 hỗ trợ ZTNA cho ứng dụng web trên iOS và Android khi EMS được tích hợp với hệ thống quản lý thiết bị di động (MDM). Doanh nghiệp nên xác định trước ứng dụng nào cần mở cho điện thoại để thiết kế chính sách phù hợp.

Nhân viên dùng máy cá nhân (BYOD) hoặc nhà thầu có truy cập qua ZTNA được không?

Được, nhưng cần thiết kế chính sách riêng. Có thể cài FortiClient lên thiết bị được phép để kiểm tra tình trạng máy, hoặc dùng phương án truy cập không cần agent cho nhà thầu, đối tác chỉ cần vài ứng dụng. Nguyên tắc là chỉ cấp đúng ứng dụng cần thiết, kèm xác thực đa yếu tố, và ghi nhật ký đầy đủ cho mọi phiên truy cập.

Khi nào nên chọn FortiSASE thay vì ZTNA trên FortiGate?

ZTNA trên FortiGate phù hợp khi doanh nghiệp đã có tường lửa tại trụ sở, chi nhánh và muốn áp dụng cùng chính sách cho cả người dùng trong văn phòng. FortiSASE phù hợp khi nhiều nhân sự làm việc lưu động, cần bảo vệ truy cập Internet và SaaS từ cloud mà không vòng về trụ sở. Hai hướng có thể kết hợp; VIET NET sẽ tư vấn dựa trên khảo sát thực tế.

Tư vấn và triển khai cùng VIET NET

VIET NET triển khai hạ tầng CNTT, ELV và data center cho doanh nghiệp từ năm 2003. Liên hệ để được khảo sát hệ thống hiện tại, đề xuất kiến trúc và báo giá theo số người dùng, chi nhánh và băng thông: hotline 0908 100 676, email info@vietnet.net.vn, hoặc gửi yêu cầu tại trang Liên hệ.